P2P se ha convertido en una alternativa en auge a la apertura y mapeo de puertos, pero es importante entender este método no es ajeno a ataques . Indicar como ejemplo la vulnerabilidad ( CVE-2021-32934 , con una puntuación base CVSS v3 de 9.1) se introdujo a través de un componente de la cadena de suministro de ThroughTek que utilizan varios fabricantes de equipos (OEM) de cámaras de seguridad, junto con ciertos fabricantes de dispositivos de IoT, y dispositivos robóticos.
Los problemas potenciales que surgen de la visualización no autorizada de las fuentes de estos dispositivos son innumerables: para los operadores de infraestructura crítica y empresas, esta vulnerabilidad asociada a la espía de comunicaciones de video podrían revelar datos comerciales confidenciales, secretos de producción / competitivos, información clave para poder realizar ataques físicos e información interna relevante asociada a empleados, etc…
Esta incidencia pone de manifiesto la importancia de tener un partner especialista que supervise de inicio este tipo de riesgos desde el origen y una adecuada selección de los productos incluyendo el posterior mantenimiento y actualizaciones a nivel de firmware y de hardware para minimizar un posible riesgo tecnológico que podría causar un alto impacto en nuestra organización.
En este artículo, hablaremos sobre este tipo de vulnerabilidad sobre P2P, examinamos el impacto, y cómo se minimiza este tipo de riesgos.
Detalles del ataque
La vulnerabilidad permite a los atacantes acceder de forma remota a video y audio a través de Internet, desde una cámara o NVR con tecnología ThroughTek. Se encontró en el SDK de ThroughTek (que afecta a todas las versiones del SDK hasta la versión 3.1.5 incluida), que antes del descubrimiento no requería comunicaciones cifradas entre dispositivos remotos (por ejemplo, NVR, cámaras) y servidores de enrutamiento ThroughTek P2P.
Se calcula la brecha de seguridad podría haber afectado a 83 millones de dispositivos.
El componente ThroughTek en cuestión es su kit de desarrollo de software (SDK) peer-to-peer (P2P), que instalado en varios millones de dispositivos conectados. Se utiliza para proporcionar acceso remoto a transmisiones de audio y video a través de Internet.
A nivel general la forma en que funciona P2P se basa en tres aspectos arquitectónicos:
- Un grabador digital de video en red digital (NVR), con conexión a cámaras de seguridad y representa el servidor P2P local que genera la transmisión de audio / video.
- Un servidor P2P externo, administrado por el proveedor de la cámara o el proveedor del SDK P2P. Este servidor actúa como intermediario, lo que permite que el cliente y el NVR establezcan una conexión entre sí.
- Un cliente de software, ya sea una aplicación móvil o de escritorio, que accede a la transmisión de audio / video desde Internet.
Una peculiaridad de los SDK P2P … es que los OEM no solo están otorgando licencias para una biblioteca de software P2P, también reciben servicios de infraestructura (el servidor P2P externo) para autenticar clientes y servidores y manejar la transmisión de audio / video.
Al analizar la implementación del cliente específico para la plataforma P2P de ThroughTek y el tráfico de red generado por un cliente de Windows que se conecta al NVR a través de P2P, se encontraron que los datos transferidos entre el dispositivo local y los servidores de ThroughTek carecían de un intercambio de claves seguro, confiando en cambio en un esquema de ofuscación basado en una clave fija.
Después de establecer algunos puntos de interrupción en los lugares correctos, los investigadores crearon un código payload que permitía desencriptar los paquetes de comunicación. Dado que este tráfico se transmite a través de Internet, una vez conocido el método de ofuscación un atacante que pueda acceder a él puede reconstruir la transmisión de audio / video.
En particular, tal y como indicamos esta brecha permite la suplantación de dispositivos y el secuestro de certificados de dispositivos como otros riesgos potenciales de cualquier explotación del error. El proveedor ha solucionado el problema con la última versión del firmware una vez se denuncio por parte del equipo de investigación de seguridad.
Impacta millones de dispositivos
Kalay 2.0 de ThroughTek se comercializa como una plataforma desarrollada para más de 200 SoC de más de 50 fabricantes (como los de HiSilicon o Ambarella) que se utilizan en las industrias de IoT y vigilancia, incluida la vigilancia, la automatización del hogar, los automóviles inteligentes y la venta minorista inteligente.
Versiones afectadas y remedios:
- Todas las versiones por debajo de 3.1.10
- Versiones del SDK con etiqueta nossl
- Firmware del dispositivo que no usa AuthKey para la conexión IOTC
- Firmware del dispositivo que usa el módulo AVAPI sin habilitar el mecanismo DTLS
- Firmware del dispositivo que utiliza el módulo P2PTunnel o RDT
Acciones a tomar:
Si SDK es 3.1.10 y superior, habilite Authkey y DTLS
Si el SDK está por debajo de 3.1.10, actualice la biblioteca a 3.3.1.0 o 3.4.2.0 y habilite Authkey / DTLS
Conclusión
Como hemos podido comprobar la protección de subsistemas de control de cctv y su ciberseguridad es un tema complejo que abarca múltiples campos de actuación.
Esta incidencia pone de manifiesto la importancia de tener un partner especialista que supervise de inicio este tipo de riesgos desde el origen y una adecuada selección de los productos incluyendo el posterior mantenimiento y actualizaciones a nivel de firmware y de hardware para minimizar un posible riesgo tecnológico que podría causar un alto impacto en nuestra organización.
Mi recomendación dado el impacto que podría ocasionar un mal diseño en la organización de este tipo de tecnologías , es realizar un estudio previo detallado de cara poder entender todos los factores asociados a la instalación de un sistema CCTV evitando caer en vulnerabilidades a través de la elaboración de un plan integral acorde a un análisis de riesgos inicial que nos permita poder contar con un modelo completo de seguridad, incluyendo formación , protocolos de actuación , servicios y actualizaciones que permita que la solución final evolucione acorde los riesgos y las futuras necesidades de seguridad.
Si tiene alguna duda al respecto no dude en contactar conmigo para poder asesorarle en su caso particular.